Modelos de inteligência artificial ajudaram pesquisadores a identificar falhas críticas no interpretador PHP, tecnologia usada em servidores de sites e aplicações. A investigação envolveu a OpenAI, a Calif e a Wiz, enquanto a correção ficou a cargo dos mantenedores do PHP.
As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, receberam gravidade 9,2 no padrão CVSS 4.0. Em determinadas condições, podem permitir execução remota de código sem autenticação, ou seja, que um invasor execute instruções em um servidor exposto sem possuir uma conta legítima. O risco concreto depende das configurações e permissões do sistema.
O caso mostra como a IA pode acelerar a pesquisa defensiva, mas também amplia a preocupação com a capacidade de localizar e explorar falhas. A identificação de uma vulnerabilidade, por si só, não comprova que servidores tenham sido comprometidos.
Como a falha no PHP foi identificada
Segundo a OpenAI, pesquisadores da Calif usaram o modelo GPT-5.6 Sol para encontrar uma das falhas. A Wiz identificou e relatou independentemente as duas vulnerabilidades. A empresa informou que encontrou uma delas em 19 de agosto de 2026, validou cenários de execução remota em aplicações PHP e comunicou o problema aos responsáveis pela segurança do projeto em 24 de agosto.
As falhas estão relacionadas ao gerenciamento interno de memória do interpretador. Não são problemas específicos do WordPress ou de seu painel administrativo. Como diferentes aplicações usam PHP em ambientes distintos, a exposição varia conforme a versão e a configuração de cada sistema.
Atualizações corrigem as vulnerabilidades
Em 21 de outubro de 2026, o projeto PHP publicou versões corrigidas: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. O aviso oficial apontou a atualização como solução necessária e esclareceu que medidas intermediárias não eliminam completamente o risco. Administradores que usam pacotes de distribuições Linux devem consultar os boletins dos respectivos fornecedores, pois a numeração pode ser diferente.
A Cloudflare informou ter observado tentativas de exploração após a divulgação e disse ter aplicado regras de proteção em seu firewall de aplicações web. Esses registros indicam tentativas, mas não demonstram que todos os sistemas visados tenham sido invadidos.
IA acelera a defesa e aumenta a pressão por correções
Modelos de IA podem ajudar especialistas a examinar grandes bases de código, investigar comportamentos inesperados e sugerir testes. A validação técnica, a avaliação do impacto e a coordenação da divulgação responsável continuam dependendo do trabalho de pesquisadores e mantenedores.
A mesma capacidade pode reduzir o esforço necessário para analisar sistemas e desenvolver formas de exploração, sobretudo quando detalhes técnicos já são públicos. Isso não significa que qualquer atacante consiga comprometer automaticamente qualquer servidor: o resultado depende do alvo, das proteções existentes e dos recursos disponíveis.
A OpenAI descreveu o período anterior à divulgação como uma janela para que defensores identificassem os problemas e preparassem correções. Essa avaliação é da empresa e não comprova que ninguém mais conhecesse as falhas. Também não há evidência apresentada de que os atacantes observados tenham usado o mesmo modelo de IA.
O que o caso significa para organizações no Brasil
O PHP2Shell não é evidência de invasões a instituições brasileiras. Ainda assim, o episódio é relevante para empresas e órgãos públicos que dependem de softwares compartilhados e serviços conectados à internet. Manter inventários de sistemas e versões, acompanhar avisos de segurança e aplicar atualizações são medidas essenciais para identificar e reduzir a exposição.
O caso também evidencia um desafio para projetos de código aberto: equipes responsáveis por componentes amplamente usados precisam avaliar relatos, corrigir falhas e evitar problemas adicionais. A velocidade da defesa não depende apenas de encontrar vulnerabilidades, mas de fazer com que as correções cheguem aos sistemas afetados.
